Buletin de securitate Adobe

Căutare

Ultima actualizare la 24 apr. 2025

Actualizări de securitate disponibile pentru Adobe ColdFusion | APSB25-15

ID buletin	Data publicării	Prioritatea
APSB25-15	8 aprilie 2025	1

Sumar

Adobe a lansat actualizări de securitate pentru ColdFusion, versiunile 2025, 2023 și 2021. Aceste actualizări remediază vulnerabilități critice și importante care ar putea duce la citirea arbitrară a sistemului de fișiere, execuția arbitrară de cod și ocolirea caracteristicilor de securitate.

Compania Adobe nu are cunoștință de vreo exploatare „în mediu liber” pentru niciuna din problemele adresate în cadrul acestor actualizări.

Versiunile afectate

Produs	Număr actualizare	Platformă
ColdFusion 2025	Compilarea 331385	Toate
ColdFusion 2023	Actualizarea 12 și versiunile anterioare	Toate
ColdFusion 2021	Update 18 și versiunile anterioare	Toate

Soluție

Adobe clasifică aceste actualizări cu următoarele evaluări de prioritate și recomandă utilizatorilor să își actualizeze instalările la cele mai recente versiuni:

Produs	Versiune actualizată	Platformă	Evaluare a priorității	Disponibilitate
ColdFusion 2025	Update 1	Toate	1	Notă tehnică
ColdFusion 2023	Actualizarea 13	Toate	1	Notă tehnică
ColdFusion 2021	Update 19	Toate	1	Notă tehnică

Notă:

Consultați documentația actualizată a filtrului serial pentru mai multe detalii despre protecția împotriva atacurilor de deserializare Wddx nesigure https://helpx.adobe.com/ro/coldfusion/kb/coldfusion-serialfilter-file.html

Detalii privind vulnerabilitatea

Categoria de vulnerabilitate	Impactul vulnerabilității	Severitate	Scor de bază CVSS	Vector CVSS	Numere CVE
Validare neadecvată a intrării (CWE-20)	Citire arbitrară din sistemul de fișiere	Critică	9.1	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-24446
Deserializare de date neautorizate (CWE-502)	Executare de cod arbitrară	Critică	9.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N	CVE-2025-24447
Control inadecvat al accesului (CWE-284)	Citire arbitrară din sistemul de fișiere	Critică	9.1	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30281
Autorizare nepotrivită (CWE-287)	Executare de cod arbitrară	Critică	9.1	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30282
Deserializare de date neautorizate (CWE-502)	Executare de cod arbitrară	Critică	8.0	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30284
Deserializare de date neautorizate (CWE-502)	Executare de cod arbitrară	Critică	8.0	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30285
Neutralizarea necorespunzătoare a elementelor speciale utilizate într-o comandă de sistem de operare ("Injectarea comenzii OS") (CWE-78)	Executare de cod arbitrară	Critică	8.0	CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30286
Autorizare nepotrivită (CWE-287)	Executare de cod arbitrară	Critică	8.1	CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30287
Control inadecvat al accesului (CWE-284)	Ocolirea caracteristicii de securitate	Critică	7.8	CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H	CVE-2025-30288
Neutralizarea necorespunzătoare a elementelor speciale utilizate într-o comandă de sistem de operare ("Injectarea comenzii OS") (CWE-78)	Executare de cod arbitrară	Critică	7.5	CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N	CVE-2025-30289
Limitare incorectă a unui nume de cale la un director restricționat („Traversarea căii”) (CWE-22)	Ocolirea caracteristicii de securitate	Critică	8.7	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:H	CVE-2025-30290
Expunere la informații (CWE-200)	Ocolirea caracteristicii de securitate	Importantă	6.2	CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N	CVE-2025-30291
Scriptare între site-uri (XSS reflectat) (CWE-79)	Executare de cod arbitrară	Importantă	6.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N	CVE-2025-30292
Validare neadecvată a intrării (CWE-20)	Ocolirea caracteristicii de securitate	Importantă	6.8	CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:N	CVE-2025-30293
Validare neadecvată a intrării (CWE-20)	Ocolirea caracteristicii de securitate	Importantă	6.5	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N	CVE-2025-30294

Mențiuni:

Adobe dorește să le mulțumească următorilor cercetători pentru raportarea acestei probleme și pentru colaborarea cu Adobe în scopul protejării clienților noștri:   

nbxiglk - CVE-2025-24446, CVE-2025-30281, CVE-2025-30282, CVE-2025-30284, CVE-2025-30285, CVE-2025-30286, CVE-2025-30289
Brian Reilly (reillyb) - CVE-2025-24447, CVE-2025-30288, CVE-2025-30290, CVE-2025-30291, CVE-2025-30292, CVE-2025-30293, CVE-2025-30294
cioier - CVE-2025-30287

NOTĂ: Adobe are un program public de recompensă pentru erori, cu HackerOne. Dacă sunteți interesat să colaborați cu Adobe în calitate de cercetător extern în domeniul securității, vă rugăm să ne contactați aici: https://hackerone.com/adobe

Notă:

Adobe recomandă actualizarea versiunii LTS JDK/JRE ColdFusion la ultima actualizare lansată, ca măsură de securitate. Pagina de descărcări ColdFusion este actualizată în mod regulat pentru a include cele mai recente programe de instalare Java pentru versiunea JDK pe care o acceptă instalarea dumneavoastră, conform matricelor de mai jos.

Pentru instrucțiuni privind modul de utilizare a unui JDK extern, consultați Schimbare JVM ColdFusion.

Adobe recomandă, de asemenea, aplicarea setărilor de configurare a securității incluse în documentația ColdFusion Security, precum și revizuirea ghidurilor Lockdown respective.   

Cerință JDK ColdFusion

COLDFUSION 2025 (versiunea 2023.0.0.331385) și mai recente
Pentru servere de aplicații

La instalările JEE, stabiliți următorul marcaj JVM, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; " în fișierul de pornire corespunzător, în funcție de tipul de server de aplicații utilizat.

De exemplu:
Serverul de aplicații Apache Tomcat: editați JAVA_OPTS în fișierul 'Catalina.bat/sh'
Serverul de aplicații WebLogic: editați JAVA_OPTIONS în fișierul 'startWeblogic.cmd'
Serverul de aplicații WildFly/EAP: editați JAVA_OPTS în fișierul 'standalone.conf'
Setați marcajele JVM pe o instalare JEE de ColdFusion, nu pe o instalare independentă.

COLDFUSION 2023 (versiunea 2023.0.0.330468) și versiunile ulterioare
Pentru serverele de aplicații

Pe instalările JEE, setați următorul marcaj JVM, „-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;" în fișierul de pornire corespunzător, în funcție de tipul de server de aplicații utilizat.

COLDFUSION 2021 (Versiunea 2021.0.0.323925) și mai recent

Pentru servere de aplicații  

Pe instalările JEE, setați următorul marcaj JVM, „-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;"

în fișierul de pornire corespunzător, în funcție de tipul de server de aplicații utilizat.

De exemplu:  

Pe serverul de aplicații Apache Tomcat: editați JAVA_OPTS în fișierul „Catalina.bat/sh”

Serverul de aplicații WebLogic: editați JAVA_OPTIONS în fișierul „startWeblogic.cmd”  

Serverul de aplicații WildFly/EAP: editați JAVA_OPTS în fișierul „standalone.conf”  

Setați marcajele JVM pe o instalare JEE de ColdFusion, nu pe o instalare independentă.  

Pentru mai multe informații, vizitați https://helpx.adobe.com/ro/security.html sau trimiteți e-mail la PSIRT@adobe.com

Obțineți ajutor mai rapid și mai ușor

Utilizator nou?